Что такое технические способы обеспечения безопасности

Технологии защиты информации в компании

Больше материалов по теме «Ведение бизнеса» вы можете получить в системе КонсультантПлюс .

Информационная безопасность (ИБ) – это защищенность данных от негативных воздействий, которые могут нанести урон. Для обеспечения ИБ применяются методы защиты информации.

Вопрос: Как отразить в учете организации (пользователя) приобретение неисключительных прав на использование программы для ЭВМ (средств криптографической защиты информации) на условиях простой (неисключительной) лицензии? Лицензионный договор с лицензиаром (правообладателем) заключен в виде договора присоединения.
Посмотреть ответ

Базовые элементы информационной безопасности

Рассмотрим основные составляющие информационной безопасности:

• Доступность. Предполагает доступ субъектов к необходимой информации. Под субъектами понимаются компании, которые имеют право на доступ к соответствующим данным.
• Целостность. Сведения должны быть защищены от незаконного видоизменения, порчи.
• Конфиденциальность. Предполагает защищенность от несанкционированного доступа к данным.

Категории относятся как к самой информации, так и к инфраструктуре, с помощью которой хранятся сведения.

Разновидности угроз информационной безопасности

Угроза – это то, что может нанести урон ИБ. Ситуация, предполагающая угрозу, называется атакой. Лицо, которое наносит атаку ИБ, – это злоумышленник. Также существуют потенциальные злоумышленники. Это лица, от которых может исходить угроза.

Угрозы доступности

Частая угроза доступности – это непредумышленные ошибки лиц, работающих с информационной системой. К примеру, это может быть введение неверных данных, системные ошибки. Случайные действия сотрудников могут привести к потенциальной угрозе. То есть из-за них формируются уязвимые места, привлекательные для злоумышленников. Это наиболее распространенная угроза информационной безопасности. Методами защиты являются автоматизация и административный контроль.

Рассмотрим подробнее источники угроз доступности:

• Нежелание обучаться работе с информационными системами.
• Отсутствие у сотрудника необходимой подготовки.
• Отсутствие техподдержки, что приводит к сложностям с работой.
• Умышленное или неумышленное нарушение правил работы.
• Выход поддерживающей инфраструктуры из обычного режима (к этому может привести, к примеру, превышение числа запросов).
• Ошибки при переконфигурировании.
• Отказ ПО.
• Нанесение вреда различным частям инфраструктуры (к примеру, проводам, ПК).

Большая часть угроз относится к самим сведениям. Однако вред может быть также нанесен инфраструктуре. К примеру, это могут быть сбои в работе связи, систем кондиционирования, нанесение вреда помещениям.

Угрозы целостности

Центральная угроза целостности – это воровство и подлоги. Возникают они вследствие действий сотрудников компании. Согласно данным издания USA Today, в 1992 году вследствие рассматриваемых причин был нанесен совокупный ущерб в размере 882 000 000 долларов. Рассмотрим примеры источников угроз:

1. Ввод неправильных данных.
2. Изменение сведений.
3. Подделка заголовка.
4. Подделка всего текста письма.
5. Отказ от исполненных действий.
6. Дублирование информации.
7. Внесение дополнительных сведений.

Внимание! Угроза нарушения целостности касается и данных, и самих программ.

Базовые угрозы конфиденциальности

Базовая угроза конфиденциальности – это использование паролей злоумышленниками. Благодаря знанию паролей заинтересованные лица могут получить доступ к конфиденциальным сведениям. Источники угрозы конфиденциальности:

1. Использование многоразовых паролей с сохранением их на источниках, к которым могут получить доступ злоумышленники.
2. Использование одних и тех же паролей в различных системах.
3. Размещение информации в среде, которая не обеспечивает конфиденциальность.
4. Использование злоумышленниками технических средств. К примеру, прослушивающие устройства, специальные программы, фиксирующие введенный пароль.
5. Выставки, на которых презентуется оборудование с конфиденциальными сведениями.
6. Хранение сведений на резервных носителях.
7. Распространение информации по множеству источников, что приводит к перехвату сведений.
8. Оставление ноутбуков без присмотра.
9. Злоупотребление полномочиями (возможно при обслуживании инфраструктуры системным администратором).

Суть угрозы конфиденциальности кроется в том, что злоумышленник получает доступ к данным в момент наибольшей их неуязвимости.

Методы защиты информации

Методы защиты, как правило, используются в совокупности.

Инструменты организационно-правовой защиты

Основным инструментом организационно-правовой защиты являются различные организационные мероприятия, осуществляемые в процессе формирования инфраструктуры, с помощью которой хранится информация. Данные инструменты применяются на этапе возведения зданий, их ремонта, проектирования систем. К инструментам организационно-правовой защиты относятся международные договоры, различные официальные стандарты.

Инструменты инженерно-технической защиты

Инженерно-технические средства – это различные объекты, обеспечивающие безопасность. Их наличие обязательно нужно предусмотреть при строительстве здания, аренде помещения. Инженерно-технические инструменты обеспечивают такие преимущества, как:

• Защита помещения компании от действий злоумышленников.
• Защита хранилищ информации от действий заинтересованных лиц.
• Защита от удаленного видеонаблюдения, прослушивания.
• Предотвращение перехвата сведений.
• Создание доступа сотрудников в помещение компании.
• Контроль над деятельностью сотрудников.
• Контроль над перемещением работников на территории компании.
• Защита от пожаров.
• Превентивные меры против последствий стихийных бедствий, катаклизмов.

Все это – базовые меры безопасности. Они не обеспечат полную конфиденциальность, однако без них невозможна полноценная защита.

Криптографические инструменты защиты

Шифрование – базовый метод защиты. При хранении сведений в компьютере используется шифрование. Если данные передаются на другое устройство, применяются шифрованные каналы. Криптография – это направление, в рамках которого используется шифрование. Криптография используется в следующих целях:

• Защита конфиденциальности сведений, которые передаются по открытым каналам.
• Возможность подтверждения подлинности сведений, которые передаются по различным каналам.
• Обеспечение конфиденциальности сведений в том случае, если они размещены на открытых носителях.
• Сохранение целостности данных при их передаче и хранении.
• Подтверждение отправки сообщения с информацией.
• Защита ПО от несанкционированного применения и копирования.

КСТАТИ! Криптография – это более продвинутый метод обеспечения защиты сведений.

Программно-аппаратные инструменты для защиты сведений

Программно-аппаратные инструменты включены в состав технических средств. К примеру, это могут быть:

• Инструменты для ввода сведений, нужных для идентификации (идентификация по отпечаткам пальцев, магнитные и пластиковые карты доступа).
• Инструменты для шифрования данных.
• Оборудование, предупреждающее несанкционированное использование систем (к примеру, электронные звонки, блокираторы).
• Инструменты для уничтожения сведений на носителях.
• Сигнализация, срабатывающая при попытках несанкционированных манипуляций.

В качестве этих инструментов могут выбираться разные программы. Предназначаются они для идентификации пользователей, ограничения доступа, шифрования. Для полноценной защиты применяются и аппаратные, и программные инструменты. Комплекс мер обеспечивает наивысшую степень защиты. Однако руководитель должен помнить, что добиться стопроцентной защиты невозможно. Всегда остаются слабые места, которые нужно выявлять.

Источник

Средства обеспечения информационной безопасности

Защита данных
на базе системы

Р азвитие информационных технологий и компьютеризация экономической отрасли стали неотъемлемой частью жизни современного общества. И поскольку информация является одним из наиболее ценных и важных ресурсов любого бизнеса, важнейшим аспектом в функционировании предприятия стало обеспечение информационной безопасности.

Понятие «информационная безопасность» включает комплекс мер, направленных на предупреждение и устранение несанкционированного доступа, обработки, искажения, форматирования, анализа, несогласованного обновления, корректирования и уничтожения данных. Проще говоря, это комплекс действий, стандартов и технологий, необходимых для защиты конфиденциальных данных.

Крупные корпорации и предприятия малого бизнеса, в силу необходимости сохранения важной и ценной деловой информации, нанимают в штат профессионалов в сфере защиты конфиденциальных данных. Их задачей является защита всех электронных устройств от хакерских атак, чаще всего направленных на кражу конфиденциальной информации или перехват управления IT-системой организации.

Госорганы, оборонный комплекс, бизнес-корпорации, финансовые структуры, медучреждения и представители малого бизнеса регулярно собирают большие объемы конфиденциальных данных о персонале, клиентах, конкурентах, продукции и финансовых оборотах. Утечка ценной информации к конкурентам или мошенникам сулит компании, ее руководству и клиентам значительные финансовые потери и бьет по престижу организации.

Создание надежной системы сохранения конфиденциальной информации – трудоемкий процесс, которому нужно уделять пристальное внимание. При этом важно владеть знаниями и оперировать методиками, обеспечивающими информационную безопасность.

Цель защиты информации – сохранить данные и целостность системы, минимизировать потери в случае искажения информационных сведений. Сотрудники отделов информационной безопасности компании с помощью специального ПО могут отследить любое действие в корпоративной системе – создание, изменение, удаление, копирование и распространение важных файлов.

Для правильного внедрения средств обеспечения защиты конфиденциальной информации компании требуется соблюдать три основных принципа:

1. Целостность. Механизмы контроля должны работать в комплексе. Соблюдение принципа целостности обеспечивает отсутствие искажения данных и защиту от несанкционированных изменений.
2. Конфиденциальность. Введение мер контроля для создания адекватного уровня защиты данных, активов и информационной безопасности компании на различных этапах бизнес-операций, а также для устранения угрозы неправомерного доступа к корпоративной информации. Важно сохранять конфиденциальность при хранении информации, а также при передаче данных фирмам-посредникам, независимо от их степени важности.
3. Доступность. Обеспечение уполномоченных сотрудников нужной им информацией. Локальная сеть должна вести себя последовательно, чтобы в случае необходимости иметь доступ к цифровым данным. Важным моментом является восстановление системы после любых сбоев, когда речь идет о доступе к данным. Метод восстановления не должен негативно влиять на функциональность предприятия.

Без соблюдения этих принципов защита информации невозможна.

Какими бывают средства информационной безопасности?

На практике обеспечение информационной безопасности фирмы осуществляется с помощью следующих средств:

• моральных;
• правовых;
• организационных;
• физических;
• аппаратных;
• программных;
• технических;
• криптографических.

Моральные средства защиты

Под моральными средствами подразумевают нормы поведения и правила работы с информационными активами, сложившиеся по мере распространения и внедрения электронной техники в различных отраслях государства и общества в целом. По факту это необязательные требования в отличие от законодательно утвержденных. Однако их нарушение приведет к потере репутации человека и организации.

К морально-этическим средствам защиты информации в первую очередь стоит отнести честность и порядочность сотрудников. В каждой организации есть свой свод правил и предписаний, направленный на создание здорового морального климата в коллективе. Механизмом обеспечения безопасности служит внутренний документ компании, учитывающий особенности деловых процессов и информационной структуры, а также устройство IT-системы.

Правовые средства защиты

Они основываются на действующих в Российской Федерации законах, решениях и нормативных актах, устанавливающих правила обработки персональных данных, гарантирующих права и обязанности участникам при работе с информационными ресурсами в период их обработки и использования, а также возлагающих ответственность за нарушение этих постановлений, тем самым устраняя угрозу несогласованного использования конфиденциальной информации. Такие правовые методики используются в качестве профилактических и предупреждающих действий. В основном это организованные пояснительные беседы с персоналом предприятия, пользующимся корпоративными электронными устройствами.

Организационные средства

Это часть администрирования организации. Они регулируют функционирование системы обработки информации, работу штата организации и процесс взаимодействия работников с системой так, чтобы в большей степени устранить или предупредить угрозу информационной атаки либо уменьшить потери в случае их возникновения. Основной целью организационных мер является формирование внутренней политики в области сохранения в секрете конфиденциальных данных, включающей использование необходимых ресурсов и контроль за ними.

Внедрение политики конфиденциальности включает реализацию средств контроля и технических устройств, а также подбор персонала службы внутренней безопасности. Возможны изменения в устройстве IT-системы, поэтому в реализации политики конфиденциальности должны участвовать системные администраторы и программисты. Персонал должен знать, почему проблемы сохранения коммерческой тайны столь важны. Все работники предприятия должны пройти обучение правилам работы с конфиденциальной информацией.

Физические средства защиты

Это различные типы механических и электронно-механических устройств для создания физических препятствий при попытках нарушителей воздействовать на компоненты автоматизированной системы защиты информации. Это также технические устройства охранной сигнализации, связи и внешнего наблюдения. Средства физической безопасности направлены на защиту от стихийных бедствий, пандемий, военных действий и других внезапных происшествий.

Аппаратные средства защиты

Это электронные устройства, интегрированные в блоки автоматизированной системы или спроектированных как независимые устройства, контактирующие с этими блоками. Их задачей является внутренняя защита структурных компонентов ИТ-систем – процессоров, терминалов обслуживания, второстепенных устройств. Реализуется это с помощью метода управления доступом к ресурсам (идентификация, аутентификация, проверка полномочий субъектов системы, регистрация).

Программные методы защиты

Обеспечение сетевой безопасности осуществляется за счет специальных программ, которые защищают информационные ресурсы от несанкционированных действий. Благодаря универсальности, простоте пользования, способности к модифицированию программные способы защиты конфиденциальных данных являются наиболее популярными. Но это делает их уязвимыми элементами информационной системы предприятия. Сегодня создано большое количество антивирусных программ, брандмауэров, средств защиты от атак.

Наиболее распространенные антивирусные ПО, брандмауэры и средства обнаружения атак на современном рынке представлены следующими продуктами:

• Антивирусное ПО, направленное на обнаружения вирусных атак. Самые известные – Network Associates, Symantec, TrendMicro.
• Межсетевые экраны (брандмауэры), контролирующие весь трафик локальной сети и выполняющие роль фильтра или прокси-сервера. Используют стандарты ITSEC (Information Technology Security Evaluation and Certification Scheme) и IASC (Information Assurance and Certification Services). Одними из популярных представителей на рынке являются Checkpoint Software, Cisco Systems, Microsoft, Net Screen Technologies и Symantec Corporation.
• Средства обнаружения атак. Лидеры рынка – это Symantec и Entercept Security Technology.

Путем использования перечисленных категорий программ, подходящим к используемым на предприятии информационным системам, создается комплексное обеспечение сетевой безопасности.

Технические способы защиты информационных данных

Различные электронные устройства и специализированное оборудование, входящие в единый автоматизированный комплекс организации и выполняющие, как самостоятельные, так и комплексные функции сохранения персональных данных. К ним относятся персонализация, авторизация, верификация, ограничение доступа к активам пользователей, шифрование.

Криптографические методы защиты информации

Этот метод основывается на способах кодировки и обеспечивает защиту конфиденциальной информации как с помощью программного обеспечения, так и аппаратными средствами защиты информации. Криптографический способ обеспечивает высокую степень эффективности СИЗ. Ее можно выразить в цифровом эквиваленте: среднее количество операций и время для разгадки ключей и расшифровки данных. Для защиты текстов при передаче используются аппаратные методы кодировки, для обмена информацией между ПК локальной сети используются также программные методики. При сохранении информации на магнитных носителях используются программные методы шифровки. Однако у них есть некоторые недостатки: затраты времени и мощности процессоров для шифрования информации, трудности с расшифровкой, высокие требования к обеспечению секретности ключей (угроза открытых ключей от подмены).

Информация – это важнейшая часть современной действительности. Именно сейчас цифровые данные подвергаются растущему количеству угроз и нежелательных вторжений. DDoS-атаки, сетевой перехват данных, действие вирусного программного обеспечения и другие киберпреступления становятся более изощренными и набирают обороты.

Поэтому следует как можно быстрее реализовать систему защиты информации, которая надежно защитит конфиденциальную корпоративную информацию. Вопрос безопасности информации полностью лежит на плечах руководства организацией. При выборе соответствующих средств для защиты информации следует принять во внимание область деятельности компании, ее размеры, техническое оснащение, а также компетенции персонала в сфере соблюдения режима конфиденциальности.

Источник